Аннотация:
По данным New York Times, искусственный интеллект обнаруживает уязвимости безопасности программного обеспечения с беспрецедентной скоростью, и инженерам, ответственным за их устранение, становится все труднее успевать за ними. Технологические компании и разработчики программного обеспечения с открытым исходным кодом спешат исправить уязвимости, прежде чем хакеры смогут использовать их для защиты программного обеспечения, на котором работает широкий спектр веб-сайтов и онлайн-сервисов.
21 октября Фуад Матен, отвечающий за подготовку и работу по обеспечению безопасности сети OpenAI, изначально планировал отпраздновать свой день рождения с друзьями вечером.
Но в тот день он спал всего около двух часов и был занят координацией устранения двух серьезных уязвимостей безопасности, обнаруженных ИИ. Эксплуатация этих уязвимостей может оказать влияние на широкий спектр интернет-сервисов. В обработку вовлечены исследователи безопасности из стартапов и технологических гигантов, а также правительственные чиновники в США и других странах.
В его списке дел есть и другие лазейки, обнаруженные ИИ и ожидающие исправления.
Матин рассказал, что OpenAI организовала несколько команд, которые будут отвечать за сетевую безопасность, и вложила много вычислительных мощностей в поиск и устранение проблем. Он считает, что компании, занимающиеся искусственным интеллектом, несут ответственность за устранение рисков, выявленных этой технологией, с конечной целью сканирования и исправления программного обеспечения во всем мире, насколько это возможно.
Скорость обнаружения уязвимостей значительно возросла, что оказывает беспрецедентное давление на тех, кто устраняет уязвимости.
По данным OpenAI, компания начала использовать собственную технологию для сканирования программного обеспечения с открытым исходным кодом в мае этого года. С тех пор внутренние и внешние исследователи обнаружили более 1300 уязвимостей, используя эту модель. Этот тип программного обеспечения можно использовать бесплатно, он широко развернут в различных сетевых сервисах и поддерживает большое количество функций Интернета.
В июне этого года Google также использовала искусственный интеллект для обнаружения и устранения 1072 уязвимостей в браузере Chrome, что превышает общее число, исправленное за предыдущие два года. С начала этого года в Chrome исправлено больше серьезных уязвимостей, чем за предыдущие восемь лет вместе взятые.
Только в октябре этого года Microsoft выпустила 1461 исправление, что превышает показатель в 1247 исправлений за весь 2025 год.
По мнению некоторых специалистов по сопровождению программного обеспечения, такая напряженная работа, возможно, только начинается.
Маттео Коллина — технический директор стартапа Platformmatic, который занимается поддержкой инструмента разработки с открытым исходным кодом Node.js. Технологические компании, такие как Uber и Netflix, используют этот инструмент.
"То, что происходит сейчас, — это лишь первый шаг, и ситуация будет в десять раз хуже". - сказала Колина.
По данным OpenJS Foundation, некоммерческой организации, поддерживающей Node.js, в этом году Node.js обнаружил и устранил 50 уязвимостей безопасности — больше, чем за любой другой год в своей истории. В феврале этого года проект получил в 4,6 раза больше обычных сообщений об уязвимостях.
В этом месяце OpenAI снова связалась с Колиной, чтобы предупредить его о недавно обнаруженной уязвимости. Потенциальные злоумышленники могут использовать его для проникновения в системы в Интернете и кражи данных.
Чтобы обрабатывать растущее количество отчетов, Колина теперь работает семь дней в неделю и позволяет ИИ-агенту продолжать выполнять за него задачи по ночам.
«Никто не знает, какой станет эта профессия в будущем». Он сказал.
Раньше поиск уязвимостей программного обеспечения в значительной степени зависел от личного опыта. Технологические компании нанимают исследователей безопасности для проверки кода, а также платят хакерам в белых шляпах за поиск и сообщение о проблемах с помощью программ «Bug Bounty».
ИИ меняет скорость и ценность этой работы.
Он может продолжать поиск, находя там, где исследователи-люди могли бы сдаться. Он также может исследовать небольшие недостатки, разбросанные по разным кодам, и объединять их в опасные атаки.
Фолькер Душ, инженер по безопасности PHP Foundation, ясно это чувствует. Фонд, поддерживающий язык программирования PHP, на прошлой неделе раскрыл серьезную уязвимость, обнаруженную ИИ.
Душ сказал, что два года назад обнаружение уязвимости безопасности было большим событием. Сейчас признание коллег, которое оно приносит, ослабевает, и то, как вся отрасль оценивает эту работу, меняется.
Однако увеличение количества отчетов об уязвимостях также влечет за собой значительную дополнительную нагрузку.
С конца прошлого года разработчики программного обеспечения с открытым исходным кодом заметили значительное увеличение количества отчетов. Некоторые из них действительно выявляют серьезные угрозы, другие представляют собой некачественные отчеты, созданные искусственным интеллектом, которые сбивают с толку и непроверены.
В конце января этого года проект с открытым исходным кодом Curl объявил, что прекратит выплачивать вознаграждение за обнаружение ошибок, поскольку не может справиться с наплывом отчетов.
В то же время наступательные возможности ИИ заставляют защитников все больше нервничать.
В апреле этого года Anthropic заявила, что разработанная ею модель Mythos обладает сильными хакерскими возможностями и не может быть безопасно открыта для общественности. Затем компания предоставила модель группе доверенных предприятий и правительственных учреждений для проверки и исправления систем с помощью программы под названием Project Glasswing. OpenAI и Google также предоставляют правозащитникам модели искусственного интеллекта, ориентированные на кибербезопасность.
Но модели, способные находить и использовать уязвимости, становятся все более доступными.
Компания по оценке искусственного интеллекта Vals AI недавно поставила задачу моделирования атаки, требующую от модели вторжения в вымышленную компанию. Результаты испытаний показали, что усовершенствованная модель от OpenAI, открытая только для одобренных защитников, выполнила 81% тестовых задач; За ней следует свободно доступная модель китайской компании DeepSeek с уровнем завершения 73%.
По мере распространения таких возможностей группы безопасности Кремниевой долины ускоряют расследования. Они обеспокоены тем, что та же самая уязвимость вскоре может быть обнаружена злоумышленниками.
Процесс восстановления PHP показывает, на кого именно приходится это давление.
В июле этого года исследователи из компании по кибербезопасности из Калифорнии начали разрешать агентам искусственного интеллекта проверять PHP. По имеющимся данным, около 70% веб-сайтов используют этот язык программирования. Исследовательская группа обнаружила, что уязвимость, скрытая в коде более десяти лет, может позволить злоумышленникам запустить вредоносный код на затронутых веб-сайтах.
Затем Калифорния связалась с Душем и исследователями из Wiz, охранной компании, принадлежащей Google, которые обнаружили аналогичные уязвимости. В разработке также принимают участие инженеры OpenAI и PHP Foundation.
Команда сотрудничала в конфиденциальном канале Slack в течение нескольких недель, каждый день координируя исправления по телефону. Генеральный директор Калифорнии Тай Дуонг сказал, что исправление включает около 200 файлов и представляет собой масштабное обновление.
При подготовке патча они также уведомили правительственные учреждения, компанию, занимающуюся интернет-инфраструктурой Cloudflare, и другие организации, надеясь максимально расширить зону ремонта.
Период, когда уязвимость была обнаружена, но не устранена основательно, стал самым напряженным этапом для участников.
Генеральный директор Cloudflare Мэтью Принс заявил, что последние два месяца он провел в состоянии крайнего страха, что кто-то еще рано обнаружит уязвимость или что информация будет раскрыта до того, как будет готов патч.
Он прогнозирует, что в ближайшие два года в среднем каждую неделю будет появляться серьезная уязвимость, которая затронет весь Интернет.
В индустрии безопасности существуют разные мнения по поводу следующей ситуации.
Заместитель директора по информационной безопасности компании Anthropic Джейсон Клинтон заявил 22 октября в социальных сетях, что, хотя ситуация в последние четыре дня была плохой, в будущем она ухудшится, прежде чем станет лучше.
Принс считает, что раскрытие этих давних проблем в конечном итоге сделает Интернет безопаснее. Он предсказывает, что следующие два года будут очень плохими, но после того, как этот этап ремонта будет завершен, люди смогут ожидать гораздо более безопасного Интернета.
Комментарии